Но вообще я с Jordi (автором Composer-а общался) и он советовал не юзать ничего кроме API плагина.

возможно. я вижу один из вариантов решения следующим образом:

index.php:
$config = (new ConfigProvider())->collect();

ConfigProvider:
 function collect(): array

внутри уже можно любые навороты делать
return [YiiWebConfigProvider::class, require 'config/web.php', (new YiiDebugConfigProvider($container))->collect()];

главное, это будет +- явно и настраиваемо. даст свободу на зависимости конфигов между компонентами и прочим.

Он про то говорил, что это внутряк и на backwards compatibility внутряка ему пофиг.

зачем?

не понял, зачем перенесли в requrie

Он про то говорил, что это внутряк и на backwards compatibility внутряка ему пофиг.

Потому что это надо чтобы код из pull request работал.

прикольно, тогда нам __files не нужен больше? :)

Ну как вариант, можем свой парсер .lock файла сделать, который дерево пакетов будет строить, но нафига? Если сломается - исправим